CVE-2026-101924
WysokieCVSS 7.2Streszczenie
Wtyczka NewStatPress dla WordPressa do wersji 1.4.5 włącznie jest podatna na Stored Cross-Site Scripting przez pole 'Last referrers' na stronie administracyjnej Overview. Podatność wynika z niedostatecznego escapowania ciągu zapytania dostarczonego przez odwiedzającego, co pozwala nieuwierzytelnionym atakującym wstrzyknąć dowolne skrypty.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się, gdy administrator odwiedzi stronę Overview i najedzie na link, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę NewStatPress do najnowszej wersji, która zawiera poprawki zabezpieczeń.
Inne podatności w NewStatPress
Zobacz wszystkie- CVE-2026-100153Wysokie
Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'QUERY_STRING / REQUEST_URI'. Z powodu niewystarczającej sanityzacji danych wejściowych i braku escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga umieszczenia przez administratora shortcode [NewStatPress type="Top Pages"] na publicznie widocznej stronie oraz zgromadzenia przez spreparowany URL wystarczającej liczby odsłon, aby pojawił się w rankingu top-N.
- CVE-2026-14845Średnie
Wtyczka NewStatPress dla WordPressa przed wersją 1.4.5 nie oczyszcza i nie koduje danych pochodzących z nieuwierzytelnionych żądań odwiedzających przed ich przechowaniem i późniejszym wyświetleniem w jednym z widgetów. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting na użytkowników przeglądających ten widget.
- CVE-2025-13747Średnie
Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.3 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez obejście wyrażenia regularnego w funkcji `nsp_shortcode` z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami Contributor i wyższymi wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The NewStatPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 1.4.5 via the 'Last referrers' meta box on the plugin's Overview admin page. This is due to insufficient output escaping of the visitor-supplied query string that the plugin records in its statistics table: the newstatpress_generate_overview_lastreferrers() function concatenates the stored urlrequested value into a single-quoted href attribute after only FILTER_SANITIZE_URL, which does not encode the apostrophe. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a high-privileged user, such as an administrator, accesses the Overview page and hovers the injected link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS